Em um comunicado publicado ontem, a Mozilla divulgou a presença de nove falhas de segurança no Firefox 61 que foram corrigidas na última versão do navegador. Alguns dos bugs são graves, mas neste momento não parecem estar recebendo ataques na natureza. Para se proteger como um usuário do Firefox, verifique se você atualizou o Firefox para a versão mais recente o mais rápido possível. Para fazer isso, clique no menu " Firefox " e " Sobre o Firefox ". O navegador irá verificar se há uma atualização automaticamente e fará o download da atualização, se disponível. Você será solicitado a " Reiniciar para atualizar o Firefox "

No restante deste post, veremos mais de perto alguns dos bugs notáveis ​​da atualização de ontem e os tipos de vulnerabilidades que eles contêm. Para ajudar a proteger a comunidade da Web em geral, gostaríamos de incentivá-lo a informar seus amigos, familiares e colegas que eles devem atualizar o Firefox o mais rápido possível. Partilhe este post ou envie-lhes uma nota útil.

Embora a quantidade de detalhes disponíveis em cada bug varie, os avisos da Mozilla contêm breves descrições e pontuações de impacto de problemas divulgados. Cinco das nove vulnerabilidades receberam pontuações de  Baixo e  Moderado e os quatro itens restantes foram determinados como de  impacto Alto ou  Crítico .

As entradas do Bugzilla para esses bugs de maior gravidade são todas privadas no momento desta publicação, o que provavelmente limitará a disseminação de detalhes sobre a exploração dessas falhas, enquanto a base de usuários do Firefox atualiza coletivamente seus navegadores.

Use-After-Free Falhas

Dois bugs marcados como de alto impacto no advisory da Mozilla, CVE-2018-12377 e CVE-2018-12378 , pertencem a vulnerabilidades de uso após livre . Este tipo de bug existe quando um aplicativo pode ser feito para tentar fazer referência a dados armazenados na memória que já foi liberada. Em outras palavras, em certos casos, um programa pode sofrer falhas ou se comportar de maneira anormal se tentar lembrar informações que já foi dito para esquecer. O "comportamento anormal" pode depender de como exatamente o problema foi acionado, bem como dos novos dados que podem ter sido substituídos, independentemente da tentativa de carregamento do aplicativo.

No caso destes dois bugs do Firefox, o aviso especifica a existência de uma "falha potencialmente explorável", que é comum para este tipo de vulnerabilidade. Nenhuma menção foi feita sobre a possível execução remota de código, outra consequência possível de falhas de uso após livre, sugerindo que um vetor particular não está presente nestes casos.

Erros de Segurança de Memória

Os outros dois problemas notáveis, CVE-2018-12375 e CVE-2018-12376 (marcados como High e Critical-impact, respectivamente), foram rotulados como bugs de segurança de memória. A segurança da memória é um termo bastante amplo, potencialmente referindo-se a classes de vulnerabilidade como condições de corrida , estouro de buffer e muito mais, portanto, o escopo dessas vulnerabilidades continua a ser visto. No entanto, os detalhes do Mozilla nas entradas consultivas em ambos os CVEs afirmam que “alguns desses bugs mostraram evidências de corrupção de memória e presumimos que, com esforço suficiente, alguns deles poderiam ser explorados para executar código arbitrário”.

Remendando contra o teórico

A afirmação da Mozilla, de que eles “presumem” que os bugs relatados de segurança de memória “poderiam” ser usados ​​para executar código “com esforço suficiente”, é importante. Lembre-se, não é necessariamente uma mentalidade incomum, mas vale a pena chamar a atenção para isso quando surge. Corrigir uma vulnerabilidade que pode não ser explorada de maneira viável hoje ainda é crucial em uma era em que tecnologias e técnicas avançam tão rapidamente.

Este conceito é de nota histórica, especificamente no exemplo do CVE-2016-5195 , mais conhecido como Dirty COW. Dirty COW (abreviação de Dirty Copy-On-Write), foi uma grande vulnerabilidade no kernel Linux divulgada publicamente em 2017. A falha permitiu que atacantes com acesso de baixo privilégio (como um shell web PHP ou até mesmo um dispositivo Android não roteado ) Sobrescrever temporariamente arquivos protegidos do sistema, permitindo um escalonamento de privilégios, até e incluindo o acesso root ao sistema afetado.

A relevância do COW sujo neste caso deriva do fato de que a falha foi realmente identificada e corrigida onze anos antes, antes de ser revertida devido a problemas de compatibilidade. Em uma mensagem de commit de 2016 , Linus Torvalds declarou “ … o que usou uma corrida puramente teórica na época tornou-se mais fácil de acionar”, referindo-se à falha da condição de corrida que permite que o Dirty COW seja explorado. Simplificando, quando foi descoberto, teria sido arbitrariamente inviável executar com sucesso a exploração no hardware existente. Assim, foi considerado de baixa gravidade o suficiente para ser enterrado por mais de uma década.

A decisão da Mozilla, e escolhas semelhantes feitas por desenvolvedores conscientes da segurança todos os dias, beneficiam a comunidade, reforçando a mentalidade de que uma vulnerabilidade teórica é uma vulnerabilidade, no entanto.

E agora?

Sobrecarga de informação à parte, não são questões que valham a pena para a maioria dos usuários do Firefox. Como de costume, realizar a atualização (se a sua não foi corrigida automaticamente) é o suficiente para se proteger desses problemas. Com isso em mente, aproveite para ter certeza de que seus colegas estão cientes de bugs como esses. Pique seus amigos e colegas de trabalho e chame-os para clicar no botão de atualização ou apenas compartilhe esta postagem com eles. De qualquer forma, você estará fazendo sua parte para torná-los mais seguros.



Thursday, September 6, 2018





« Voltar